Александр. Моё лично мнение такое.
DHCP - всё на микротике. создаем неск подсетей, и оттуда управляем. На srv1 сотавляем всё кроме dhcp и шлюза.
srv1 с AD и nas (для бэкапа) должны иметь доступ к бухам и их вилану.
(для возможности удалённой помощи)
Этот вопрос решается ip>routes на самом Микротике. доступы поп подсетям.
Нафиг Вланы -накладные расходы. просто поделите сети на микротике, в роутах сделайте нужные маршруты...
допустим - с SRV и компов админа доступ разрешен, с других IP - запрещен(если надо так прям жестко разграничить безопасность)
Т.к. имеете разные подсети, 2 провейдера - задайте маркировкой тарффика движение в инет. по модели - подсеть 192.168.0.1 >>> маркировка>>>ISP1
подсеть 192.168.0.2 >>> маркировка >>>ISP2
Имеем - доступность серверов с любой подсети\пк(ограничения сами поставите_), разделения инетов для разных подразделений, управление всем с микротика...